Qui met à jour le registre RGPD, et à quel moment ?
En bref
Un registre des traitements n'a de valeur que s'il décrit la réalité du moment. Désignez une personne responsable et un remplaçant, puis reliez la mise à jour aux événements qui changent les traitements : nouvel outil, nouveau prestataire, nouveau formulaire, nouvelle finalité, départ d'un service. Une revue périodique complète ce suivi et vérifie les points restés dans l'ombre.
Beaucoup d'entreprises ont construit un registre des traitements lors d'un effort initial, puis ne l'ont plus rouvert. Deux ans plus tard, il décrit des outils abandonnés et ignore ceux qui traitent réellement les données. Notre article sur la tenue du registre des traitements explique comment le construire ; celui-ci traite de sa vie ensuite. Cet article donne des repères généraux et ne constitue pas un conseil juridique.
Pourquoi un registre se périme
Rien ne prévient quand il devient faux. Les changements qui le décalent sont ordinaires et passent inaperçus :
- un service souscrit un outil en ligne sans en parler ;
- un formulaire gagne trois champs lors d'une refonte ;
- un prestataire change de sous-traitant ou de région d'hébergement ;
- une campagne commerciale introduit une nouvelle finalité ;
- un fichier de suivi naît dans un tableur et devient un usage durable ;
- la personne qui connaissait le sujet quitte l'entreprise.
Un registre inexact est plus gênant qu'un registre incomplet : il documente des engagements que vous ne tenez pas.
Désigner qui en a la charge
La responsabilité finale appartient au responsable du traitement, c'est-à-dire à la direction. La tenue quotidienne se délègue, à condition que le rôle soit nommé et connu.
| Rôle | Ce qu'il fait |
|---|---|
| Direction | Valide les arbitrages, arbitre les moyens, assume la responsabilité. |
| Personne chargée du registre | Recueille les informations, met à jour les fiches, relance les services. |
| Délégué à la protection des données, s'il existe | Conseille, contrôle, alerte sur les écarts. |
| Référent dans chaque service | Signale les nouveaux outils et les changements d'usage. |
| Prestataire informatique | Documente l'hébergement, les flux, les accès et les sauvegardes. |
Prévoyez un remplaçant. Un registre qui dépend d'une personne unique disparaît avec elle.
Accrocher la mise à jour aux décisions
La méthode la plus efficace consiste à ne pas compter sur la bonne volonté, mais à insérer une question courte dans les processus existants :
- Avant tout achat d'outil : quelles données personnelles seront traitées, où seront-elles hébergées, qui y accédera ?
- Avant la mise en ligne d'un formulaire ou d'une fonctionnalité : quelle finalité, quelle base légale, quelle durée ?
- À la signature d'un contrat de prestation : les engagements sur les données sont-ils annexés ?
- À l'arrivée ou au départ d'un service ou d'une activité : quels traitements naissent ou disparaissent ?
- Après un incident : le traitement concerné est-il correctement décrit ?
Une case dans un bon de commande ou une question dans une réunion de lancement coûte peu et évite la dérive.
La revue périodique
Le suivi au fil de l'eau laisse toujours des angles morts. Prévoyez un rendez-vous régulier, inscrit à l'agenda, pour passer le registre en revue :
- confronter la liste des traitements aux factures de logiciels réellement payées ;
- demander à chaque service quels fichiers il utilise vraiment ;
- vérifier que les durées annoncées correspondent aux suppressions effectuées ;
- contrôler la cohérence avec la politique de confidentialité publiée ;
- relire les fiches des traitements sensibles en priorité ;
- dater la revue et noter les écarts corrigés.
Cette trace compte autant que le registre lui-même : elle montre une démarche suivie plutôt qu'un document figé. Selon les cas, la CNIL met à disposition des modèles et des guides adaptés à différentes situations. NexSecure peut tenir à jour le volet technique de ce registre dans le cadre de son offre de conformité RGPD.
Questions fréquentes
À quelle fréquence mettre à jour le registre ?
Au fil des changements plutôt qu'à date fixe : nouvel outil, nouveau prestataire, nouvelle finalité. Une revue périodique complète ce suivi pour rattraper ce qui n'a pas été signalé sur le moment.
Qui doit tenir le registre sans délégué à la protection des données ?
Une personne désignée nommément, avec un remplaçant, sous la responsabilité de la direction. L'essentiel est que le rôle soit connu et que chaque service sache à qui signaler un nouvel outil ou un nouvel usage.
Que faire si le registre ne correspond plus à la réalité ?
Reprenez-le à partir des usages réels plutôt que de corriger ligne à ligne un document dépassé. Partez des factures de logiciels, des formulaires en ligne et des fichiers utilisés par chaque service, puis datez la nouvelle version.
Le registre doit-il être transmis à la CNIL ?
Il n'est pas déposé à l'avance. Il doit être tenu à disposition et présenté sur demande, notamment lors d'un contrôle. Sa mise à jour régulière et la trace des revues comptent alors autant que son contenu.
Sources
Service lié
Articles liés
Rédigé par l'équipe NexSecure. Responsable de la publication : Yohann Toumine. Dernière mise à jour le 11 septembre 2026.
Une question sur votre situation ? Parler de votre projet